{"id":923,"date":"2020-07-17T09:54:35","date_gmt":"2020-07-17T09:54:35","guid":{"rendered":"https:\/\/www.all4sec.es\/blog\/?p=923"},"modified":"2020-11-17T14:29:53","modified_gmt":"2020-11-17T14:29:53","slug":"gestionas-tu-seguridad-o-estas-en-las-nubes","status":"publish","type":"post","link":"https:\/\/all4sec.es\/blog\/index.php\/2020\/07\/17\/gestionas-tu-seguridad-o-estas-en-las-nubes\/","title":{"rendered":"\u00bfGestionas tu seguridad o est\u00e1s en las nubes?"},"content":{"rendered":"\n

\u00bfQui\u00e9n es el responsable de la seguridad en la nube?<\/h2>\n\n\n\n

Si a alguien le pregunt\u00e1ramos si sabe qu\u00e9 tipos de nubes existen, muchos estar\u00edan tentados de responder con palabras como cirros<\/em>, estratos<\/em>, c\u00famulos <\/em>o nimbos<\/em>. <\/p>\n\n\n\n

Sin embargo, no queremos hablar de esos tipos de nubes; estamos refiri\u00e9ndonos a los servicios de la nube digital<\/strong>. Unos servicios que <\/em>han cambiado la perspectiva de las organizaciones a la hora de emplear la tecnolog\u00eda para el soporte a los negocios. <\/p>\n\n\n\n

XaaS<\/strong><\/h2>\n\n\n\n

La adopci\u00f3n de servicios en la nube crece en el mercado de forma imparable. Son numerosos los usuarios \u2014 particulares, empresas u organizaciones gubernamentales\u2014 que hacen uso de los servicios en la nube para almacenar y gestionar informaci\u00f3n (IaaS<\/strong>) o para proveer \u2014o proveerse de\u2014 aplicaciones relacionadas con su negocio (PaaS<\/strong> y SaaS<\/strong>). Y es que las nubes privadas, compartidas o incluso h\u00edbridas<\/strong> han copado todos los sectores de la sociedad con m\u00faltiples ofertas que son sobradamente conocidas.<\/p>\n\n\n\n

Seguridad compartida<\/strong><\/h2>\n\n\n\n
\"\"
Niveles de responsabilidades <\/figcaption><\/figure><\/div>\n\n\n\n

Sin embargo, en ocasiones, su utilizaci\u00f3n conduce a una falsa sensaci\u00f3n de seguridad entre los usuarios. Y todo ello porque las medidas de ciberseguridad no siempre son bien conocidas.<\/p>\n\n\n\n

La seguridad de una infraestructura en nube, sea cual sea el modelo de uso, requiere la asunci\u00f3n de un conjunto de responsabilidades compartidas<\/a> que deben estar claramente diferenciadas y, por supuesto, asumidas por todas las partes que intervienen en su gesti\u00f3n<\/strong>. <\/p>\n\n\n\n

Los dos actores, cliente y proveedor, deben compartir, a diferentes niveles, la responsabilidad de la gesti\u00f3n de su seguridad, dependiendo del modelo que finalmente decidan implementar: interno, IaaS, PaaS o SaaS<\/em>.<\/p>\n\n\n\n

Una preposici\u00f3n puede marcar la diferencia<\/strong><\/h2>\n\n\n\n

B\u00e1sicamente, el rol desempe\u00f1ado por el cliente marca la diferencia. Podr\u00edamos decir que existen dos niveles de seguridad que distinguir\u00edamos por una simple preposici\u00f3n gramatical: la seguridad \u201cde\u201d la nube y la seguridad \u201cen\u201d la nube<\/strong>. <\/p>\n\n\n\n

La primera siempre ser\u00e1 asumida por el proveedor. La segunda establecer\u00e1 diferentes niveles de gesti\u00f3n en funci\u00f3n de la responsabilidad que el cliente est\u00e9 dispuesto a asumir o delegar.<\/p>\n\n\n\n

En este contexto, el proveedor de servicios de nube<\/strong> debe ofrecer mecanismos adaptados a las necesidades de sus clientes a trav\u00e9s de soluciones propias o de terceros. Tambi\u00e9n el propio cliente debe ser capaz de completar los servicios con medidas complementarias que act\u00faen de interfaz seguro cuando tiene a varios proveedores que trabajan de forma coordinada.<\/p>\n\n\n\n

ISO 27001<\/h2>\n\n\n\n

La evoluci\u00f3n de los est\u00e1ndares de seguridad ha hecho que uno de los mejores puntos de partida a la hora de seleccionar un proveedor sea la certificaci\u00f3n de su modelo de gesti\u00f3n. Las empresas que prestan servicios de nube deben, cuanto menos, de garantizar la integridad de los datos de sus clientes cumpliendo con normas como la ISO 27001, 27017 o 27018<\/a>.<\/p>\n\n\n\n

Rol del cliente<\/h2>\n\n\n\n

Por el otro lado, las soluciones de seguridad en la nube<\/strong> deber\u00e1n cubrir la protecci\u00f3n de los datos y las aplicaciones \u2014a menudo compartidas\u2014 que normalmente caen bajo la responsabilidad del cliente. <\/p>\n\n\n\n

Es \u00e9l, el cliente, quien debe seleccionar los mecanismos y las soluciones que aporten un nivel de seguridad adicional al que ya proporciona la nube. Esto se hace m\u00e1s evidente cuando el modelo que acaba implementando implica estructuras h\u00edbridas o compartidas entre varios proveedores. <\/p>\n\n\n\n

Y es aqu\u00ed donde el cliente debe actuar como eslab\u00f3n de seguridad<\/strong>. <\/p>\n\n\n\n

Conceptos como CASB, WAF, DLP, VPN o IdM<\/strong> sirven de base a esa conexi\u00f3n. Se trata de herramientas que marcan el equilibrio entre los servicios \u201cde y en\u201d la nube<\/em>. Y, en un contexto donde su crecimiento resulta imparable \u2014seg\u00fan Gartner, el mercado de la seguridad de nube supondr\u00e1 m\u00e1s de 83.500 millones de USD en 2021<\/a>\u2014, es obligaci\u00f3n del cliente conocerlas y emplearlas.<\/p>\n\n\n\n

Cambios que traen las nubes<\/strong><\/h2>\n\n\n\n

El uso de servicios “de <\/em>y en” <\/em>la nube se est\u00e1 convirtiendo en un modelo de trabajo que conduce a la definitiva transformaci\u00f3n digital de las organizaciones. <\/p>\n\n\n\n

Bajo este paradigma, la integraci\u00f3n de servicios de redes internas con aplicaciones disponibles en nube, o incluso la integraci\u00f3n de servicios entre nubes de proveedores diferentes, obliga a los CISO<\/strong> a pensar de una forma diferente<\/strong>.<\/em> Entre esas nuevas pautas se encuentra la difuminaci\u00f3n de las fronteras de la ciberseguridad. Una nuevas fronteras que traen consigo la necesidad de revisar procedimientos para: <\/em><\/p>\n\n\n\n